据 Woofun AI 消息，Gala Games 旗下基础设施 GalaChain 遭遇黑客攻击，核心定性为链层逻辑漏洞而非私钥泄露。此次事件导致超过 300 万美元资产流失，与两年前因私钥管理不善引发的 2 亿美元代币铸造事故形成鲜明对比，凸显了代码逻辑层面的潜在风险。

值得注意的是，尽管损失金额显著，Gala Games 并未像以往那样公开披露细节，而是选择在沉默中完成修复，这种处理方式在 Web3 安全事件中较为罕见，引发了市场对项目方透明度与安全治理策略的重新审视。

技术层面深入解构，此次攻击的根源在于处理 EIP-712 结构化签名的 getPayloadToSign 函数存在严重的设计缺陷。EIP-712 标准本意是通过类型声明明确告知用户签名内容，确保用户知情权，但在 GalaChain 的具体实现中，真正参与哈希计算的仅有 types 字段所列内容。

更关键的变量在于，GalaChain 允许调用方将 types 随 DTO 一起提交，这为攻击者提供了可乘之机。当实际数据中出现 types 未声明的字段时，这些字段不会被纳入签名覆盖范围，导致链上验证仅针对受害者已签名的部分进行，而攻击者额外注入的收款地址和数量等敏感信息却能随交易正常执行。攻击路径因此变得极具隐蔽性：受害者可能在 GalaSwap 执行 Swap、AddLiquidity 或 CollectPositionFees 等常规操作时留下有效签名，攻击者无需破解私钥，仅需将该签名复用于 GalaChainToken 的 TransferToken 场景，并在 DTO 中插入未声明的 to、quantity 和 tokenInstance 字段。由于这些新增字段未进入原始签名哈希，验签过程仍能恢复出受害者地址，系统误判为本人发起转账，从而绕过授权额度检查，直接转走资产。

Woofun AI 整理数据显示，这种签名复用机制利用了标准实现与业务逻辑之间的认知偏差，使得看似安全的日常操作变成了资产转移的跳板。

资金流向与官方反应方面，北京时间 8 月 21 日，曾在 Decrypt 和 Blockworks 任职的记者 Kate Irwin 首次披露了这起损失超过 300 万美元的黑客攻击事件。回顾历史，Gala Games 在 2024 年 5 月曾因高权限地址私钥泄露，导致黑客铸造价值 2 亿美元的代币，但当时黑客归还资金且项目方销毁额外代币，事件得以妥善解决。相比之下，此次攻击中，Lookonchain 监测到攻击发生在 8 月 21 日，一个新建地址接收了跨链的 GALA 和 KTA 代币，并迅速出售为 ETH。据 Kate Irwin 查证，被盗取的 GALA 中有超过 16 亿枚来自 Gala Games 联创兼首席执行官 Eric Schiermeyer 关联的地址。

尽管受影响范围似乎局限于特定地址且未波及普通用户，Gala Games 及 Eric Schiermeyer 至今未在官方平台或社交媒体表态，既未公开追究黑客责任，也未回应 Kate Irwin 的置评请求。

然而，项目团队在技术响应上极为迅速，修复 PR 在创建后约 14 分钟即被合并，补丁逻辑通过递归检查确保所有实际字段均被类型声明，有效阻断了未签名字段的注入。这种'快速修复但保持沉默'的策略，反映了项目方在平衡市场情绪与安全透明度之间的谨慎考量，但也可能加剧社区对内部治理机制的疑虑。

从行业趋势研判，此次事件为自建链的安全架构敲响了警钟。Web3 项目常将安全叙事简化为私钥管理、多签机制和第三方审计，但钱包展示的结构化签名并不等同于整份请求均受签名保护，合约逻辑的正确性也不代表 SDK、网关和链码对同一份数据具有一致的理解。攻击者无需突破传统防线，只需找到两个模块对'用户同意内容'理解不一致的缝隙，即可完成盗转。类似的签名复用攻击在 DeFi 赛道中虽偶有发生，但发生在链本身逻辑层级的案例极为少见，暴露出底层基础设施在消息验证逻辑上的低级失误。对于追求效率的自建链而言，这提示开发者在优化性能之前，必须将更多资源投入安全基础建设，确保各组件间对数据语义的理解高度一致，避免因模块间的认知偏差而留下可被利用的安全漏洞。